开源 AI 编程代理 OpenCode 被黑客攻入部分在线平台，用户 API Key 遭窃并在其 AI 账户上产生费用——而它转而求助的 AI 工具，一再拒绝查看那段恶意代码。
发生了什么
据 TechCrunch 报道，OpenCode 是一款开源 AI 编程代理，近來成为 Claude Code 与 Cursor 之外颇受欢迎的替代选择。攻击者进入了其在线平台的某个部分，窃取了一部分用户的 API Key，并利用这些密钥在用户绑定的 AI 账户上刷出费用。
报道中另一个细节同样值得注意：事件处理过程中，团队把恶意代码交给 AI 工具分析，但这些工具反复拒绝查看该代码。原文未披露受影响用户规模、具体损失金额与时间线，这些信息仍待官方说明。
为什么重要
第一，API Key 是 AI 编程工具最脆弱的资产。与传统的账号密码不同，API Key 通常长期有效、可直接计费、且往往以明文形式散落在配置文件、环境变量和本地插件中。一旦泄露，攻击者不需要攻破任何模型，只需调用即可让受害者付费。
第二，开源与托管服务的边界容易被混淆。OpenCode 以开源著称，但此次出事的是“在线平台”的一部分，而非本地运行的代理本身。用户很容易把“代码开源、可审计”等同于“整条链路安全”，而托管侧的密钥管理、鉴权与隔离并不因开源而自动可信。
第三，AI 安全护栏在这里呈现出两面性。模型拒绝分析恶意代码，本意是防止被用于攻击；但在真实的应急响应场景中，这种拒绝直接削弱了防御方的时间窗口。安全分析、取证、样本研判属于典型的“防御性双用途”，当前的护栏策略对此缺乏区分。
影响与看点
对开发者而言，最直接的动作是轮换密钥、为 API Key 设置额度上限与使用告警，并避免把长期密钥交给任何第三方托管平台。对 AI 编程代理这一品类来说，此次事件会加速一个讨论：代理需要多宽的权限、密钥应该由谁持有、平台是否应默认采用短时效令牌。
对模型厂商与安全团队，值得关注的是“防御性用途”的准入机制——是否需要面向安全研究者提供可验证的分析通道，而不是让护栏在关键时刻一律说不。
一个独立判断：AI 编程代理的竞争已经从“谁补全得更准”转向“谁更值得托付密钥”，安全工程能力将逐渐成为这类产品的核心差异化，而非附加项。
